Onderwijsvereniging SURF en Privacy Company voerden samen een overkoepelende Data Protection Impact Assessment (DPIA) uit op de zelfgehoste open-source samenwerkingssoftware Nextcloud Enterprise. Met een aangepaste verwerkersovereenkomst en risicobeperkende maatregelen komt SURF tot een positief advies voor de onderwijs- en onderzoekssector.
Nextcloud Enterprise is open-source software voor kantoorproductiviteit en samenwerking, ontwikkeld door het Duitse Nextcloud. Bij de beoordeling stuitten de onderzoekers aanvankelijk op 15 risico’s op het gebied van gegevensbescherming. Die hadden betrekking op beheerdersgegevens, commerciële contactgegevens, ondersteuningsgegevens, beperkte diagnostische data en websitegegevens. Risico’s rond inhoudelijke klantgegevens werden niet vastgesteld.
Namens de sector onderhandelde SURF over een aangepaste verwerkersovereenkomst (DPA). Nextcloud nam daarnaast risicobeperkende maatregelen. De conclusie: alle geïdentificeerde risico’s zijn opgelost, worden opgelost of zijn laag.
Wat de aangepaste DPA regelt
Nextcloud host geen inhoudelijke klantgegevens en heeft geen toegang tot data in de werkomgeving van de klant, ook niet voor support. Het bedrijf verwerkt slechts een minimale hoeveelheid persoonsgegevens, zoals contactgegevens van beheerders of inkopers. De DPA beperkt die verwerkingen tot vier specifieke doeleinden. Voor bepaalde gegevens mag Nextcloud optreden als geautoriseerde verwerkingsverantwoordelijke voor zeven verenigbare doeleinden.
Instellingen houden volledige zeggenschap over de doeleinden en het inschakelen van subverwerkers. Kiezen zij voor het nieuwe Nextcloud Office op Euro-Office, dan blijft de verwerking volledig binnen de EU. Voor de DPIA testte SURF echter met de vorige versie op basis van Collabora Online, waarbij supportverzoeken in het Verenigd Koninkrijk konden worden verwerkt.
Euro-Office is de soevereine office-suite die in maart 2026 werd aangekondigd door een Europese coalitie met onder meer Nextcloud, IONOS en OpenProject. Sinds Nextcloud Hub 26 Spring is de suite met één klik te kiezen naast Collabora Online. Anders dan leveranciers met hoofdkantoor in de VS biedt Nextcloud een harde garantie nooit persoonsgegevens te verstrekken aan autoriteiten buiten de EU.
Beveiliging en aanbevelingen
De DPIA bevat ook een aparte beveiligingsbeoordeling, die positief uitviel. Nextcloud behaalde onlangs de CSPN-certificering van het Franse cyberagentschap ANSSI. Die certificering geldt voor een specifieke versie in een on-premise configuratie en wordt erkend binnen het Frans-Duitse BSZ_CSPN-akkoord. De auditors keken naast veilige opslag ook naar authenticatie, toegangscontrole en veilige communicatie.
Onderwijsinstellingen kunnen de software zelf hosten of bij een externe provider onderbrengen. De DPIA bevat een lijst met essentiële beveiligingsmaatregelen die hoge risico’s moeten voorkomen. Instellingen moeten beheerders instrueren om de gegevensdeling met Nextcloud verder te beperken en voorkomen dat interne auditlogs worden misbruikt voor toezicht op medewerkers en studenten.
Tip: SURF rolt Nextcloud breed uit naar Nederlandse onderwijsinstellingen